29、Kubernetes集群安全与有状态应用运行指南

Kubernetes集群安全与有状态应用运行指南

1. Kubernetes集群安全相关要点

1.1 额外的集群强化考虑

在进行Kubernetes集群强化时，除了常见特性，还有一些其他构建需要考虑：
- 命名空间 ：提供多租户的逻辑隔离，但本身不隔离网络流量。
- 网络插件 ：像Calico和Canal等网络插件，可为网络策略提供额外功能。
- 配额和限制 ：可针对每个命名空间设置，防止单个租户或项目消耗过多集群资源。

1.2 保护敏感应用数据（Secrets）

有时候应用需要保存敏感信息，如数据库或服务的凭证、令牌等。将这些敏感信息存储在镜像中是不可取的，而Kubernetes提供了Secrets机制来解决这个问题。

1.2.1 Secrets的优势

Secrets让我们可以在不将明文版本包含在资源定义文件中的情况下存储敏感信息。它可以挂载到需要的Pod中，在Pod内作为包含秘密值的文件被访问，也可以通过环境变量暴露。

1.2.2 创建Secrets

可以使用YAML或命令行轻松创建Secrets。虽然Secrets需要进行Base - 64编码，但使用 kubectl 命令行时，编码会自动完成。示例如下：

$ kubectl create secret generic secret-phrases --from-